Утилита с открытым исходным кодом вызвала жаркие споры среди специалистов по безопасности.
В открытом доступе новый инструмент DonPwner — утилита для анализа учётных данных и автоматизации атак на ролевые инфраструктуры Active Directory, построенная поверх базы DonPAPI и призванная облегчить задачи авторизованного тестирования. Инструмент направлен на массовую проверку паролей с управляемыми задержками, генерацию целевых словарей из базы и сверку с дампами учётных данных, что делает проект полезным для аудиторов безопасности, но одновременно подчёркивает проблемы двойного назначения подобных решений.
В репозитории содержатся скрипты для извлечения списков, модули интеграции с NetExec (ранее CrackMapExec) и вспомогательные команды для безопасного «распыления» паролей с параметрами задержки и джиттера, которые помогают снизить риск блокировок и снижают заметность активности. Среди возможностей отмечены автоматическое удаление успешно аутентифицированных учётных записей из дальнейших раундов и опция сравнения хэшей из secretsdump для проверки совпадений с найденными секретами.
Проект распространяется под некоммерческой лицензией с требованием атрибуции и ограничением на коммерческое использование — автор явно указывает на необходимость получения разрешений перед применением инструмента в чужих сетях. Авторы документации подчёркивают образовательную и тестовую направленность кода и предупреждают о юридических последствиях неправомерного применения.
Публикация вызывает дискуссию о балансе между полезностью средств для пентестеров и риском их использования злоумышленниками, поэтому команды по безопасности советуют внимательно контролировать доступ к таким репозиториям и применять инструменты лишь в авторизованных рамках.
DonPwner остаётся примером программ с двойным назначением — одновременно инструментом для повышения устойчивости сетей и потенциальным вектором злоупотреблений, если требования лицензии и правила использования будут игнорированы.
Подробнее:
В открытом доступе новый инструмент DonPwner — утилита для анализа учётных данных и автоматизации атак на ролевые инфраструктуры Active Directory, построенная поверх базы DonPAPI и призванная облегчить задачи авторизованного тестирования. Инструмент направлен на массовую проверку паролей с управляемыми задержками, генерацию целевых словарей из базы и сверку с дампами учётных данных, что делает проект полезным для аудиторов безопасности, но одновременно подчёркивает проблемы двойного назначения подобных решений.
В репозитории содержатся скрипты для извлечения списков, модули интеграции с NetExec (ранее CrackMapExec) и вспомогательные команды для безопасного «распыления» паролей с параметрами задержки и джиттера, которые помогают снизить риск блокировок и снижают заметность активности. Среди возможностей отмечены автоматическое удаление успешно аутентифицированных учётных записей из дальнейших раундов и опция сравнения хэшей из secretsdump для проверки совпадений с найденными секретами.
Проект распространяется под некоммерческой лицензией с требованием атрибуции и ограничением на коммерческое использование — автор явно указывает на необходимость получения разрешений перед применением инструмента в чужих сетях. Авторы документации подчёркивают образовательную и тестовую направленность кода и предупреждают о юридических последствиях неправомерного применения.
Публикация вызывает дискуссию о балансе между полезностью средств для пентестеров и риском их использования злоумышленниками, поэтому команды по безопасности советуют внимательно контролировать доступ к таким репозиториям и применять инструменты лишь в авторизованных рамках.
DonPwner остаётся примером программ с двойным назначением — одновременно инструментом для повышения устойчивости сетей и потенциальным вектором злоупотреблений, если требования лицензии и правила использования будут игнорированы.
Подробнее:
